Skip to content

Hackerangriff auf Unternehmensseite - IT-Sicherheit muss stimmen – sonst drohen Schadensersatzansprüche

IT-Sicherheit muss stimmen – sonst drohen Schadensersatzansprüche
Rechtsanwalt Marcus Beckmann

In der Vergangenheit sind große und klein Anbieter von Waren und Dienstleistungen im Internet sowie Cloud-Anbieter Opfer von Datenklau und Erpressungsversuchen gekommen. Wird ein Online-Shop Opfer eines Datenklaus oder Hackerangriffs bedeutet dies nicht nur einen erheblichen Vertrauensverlust, sondern ist auch ein rechtliches Problem

Ein Unternehmen hat grundsätzlich alle ihm zumutbaren Maßnahmen zu treffen, um Schäden von Dritten fernzuhalten. Das Unternehmen haftet für alle vorhersehbaren und vermeidbaren Schäden, die durch eine unzureichende Sicherung vor Datenklau entstanden sind. Auch Zahlungsdienstleister und Kreditkartenunternehmen können ggf. Schadensersatzansprüche haben, wenn Kreditkartendaten missbraucht werden. Schließlich besteht die Gefahr, dass eigene Geschäftsgeheimnisse oder die von Vertragspartnern in falsche Hände geraten. Diese Grundsätze galten auch schon vor Inkrafttreten des IT-Sicherheitsgesetzes. Auch die datenschutzrechtlichen Vorschriften schreiben vor, dass personenbezogene Daten vor dem unbefugten Zugriff Dritter zu schützen sind. Bei einem Verstoß drohen Ordnungsgelder.

Zu den notwendigen Maßnahmen gehört eine dem Stand der Technik entsprechende IT-Infrastruktur sowie die regelmäßige Aktualisierung von Hard- und Software zur Vermeidung von Sicherheitslücken. Regelmäßige Belehrungen und Schulungen der Mitarbeiter zu Sicherheitsfragen und die Überwachung der Integrität der IT-Sicherheit sind ebenso notwendig. Zudem sollten Kunden bzw. Nutzern Informationen an die Hand gegeben werden, um ungewollten Datendiebstahl zu vermeiden.

Kommt es zu einem Datenklau, Hackerangriff oder Erpressungsversuchen gilt es zunächst etwaige Lücken zu stopfen. Zudem sollten strafrechtliche Schritte eingeleitet werden. Darüber hinaus müssen Unternehmen die betroffenen Kunden und Nutzer umgehen über die Sicherheitslücke informieren. Um weiteren Missbrauch durch Accountdaten zu verhindern empfiehlt es sich Kunden zur Änderung der Passwörter aufzufordern bzw. diese zunächst zurückzusetzen.

EU-Verordnung über Meldepflicht für die Verletzung des Schutzes personenbezogener Daten tritt am 25.08.2013 in Kraft.

Am Sonntag, den 25.08.2013 tritt die Meldepflicht bei Datenschutzverstößen durch die Verordnung (EU) Nr. 611/2013 der Kommission vom 24. Juni 2013 über die Maßnahmen für die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten in Kraft. Betreiber öffentlich zugänglicher elektronischer Kommunikationsdienste sind nunmehr verpflichtet, Verletzungen des Schutzes personenbezogener Daten den nationalen Behörden zu melden sowie ggf. auch die betroffenen Personen zu informieren.

Den vollständigen Verordnungstext finden Sie hier:


"EU-Verordnung über Meldepflicht für die Verletzung des Schutzes personenbezogener Daten tritt am 25.08.2013 in Kraft." vollständig lesen

LG Düsseldorf: DDoS-Attacken sind als Computersabotage gemäß § 303b StGB strafbar

LG Düsseldorf
Urteil vom 22.03.2011
3 KLs 1/11
DDos-Attacke


Das LG Düsseldorf hat entschieden, dass DDoS-Attacken (Distributed Denial of Service-Attacken) als Computersabotage gemäß § 303b StGB strafbar sind. Der Täter wurde wegen gewerbsmäßiger Erpressung in Tateinheit mit Computersabotage in sechs Fällen zu einer Gesamtfreiheitsstrafe von zwei Jahren und zehn Monaten verurteilt.

Den Volltext der Entscheidung finden Sie hier:

§ 303b Computersabotage

(1) Wer eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, dadurch erheblich stört, dass er

1. eine Tat nach § 303a Abs. 1 begeht,
2. Daten (§ 202a Abs. 2) in der Absicht, einem anderen Nachteil zuzufügen, eingibt oder übermittelt oder
3. eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert,

wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

(2) Handelt es sich um eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, ist die Strafe Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe.

(3) Der Versuch ist strafbar.

(4) In besonders schweren Fällen des Absatzes 2 ist die Strafe Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. Ein besonders schwerer Fall liegt in der Regel vor, wenn der Täter

1. einen Vermögensverlust großen Ausmaßes herbeiführt,
2. gewerbsmäßig oder als Mitglied einer Bande handelt, die sich zur fortgesetzten Begehung von Computersabotage verbunden hat,
3. durch die Tat die Versorgung der Bevölkerung mit lebenswichtigen Gütern oder Dienstleistungen oder die Sicherheit der Bundesrepublik Deutschland beeinträchtigt.

(5) Für die Vorbereitung einer Straftat nach Absatz 1 gilt § 202c entsprechend.

LG Düsseldorf: DDoS-Attacken sind als Computersabotage gemäß § 303b StGB strafbar

LG Düsseldorf
Urteil vom 22.03.2011
3 KLs 1/11
DDos-Attacke


Das LG Düsseldorf hat entschieden, dass DDoS-Attacken (Distributed Denial of Service-Attacken) als Computersabotage gemäß § 303b StGB strafbar sind. Der Täter wurde wegen gewerbsmäßiger Erpressung in Tateinheit mit Computersabotage in sechs Fällen zu einer Gesamtfreiheitsstrafe von zwei Jahren und zehn Monaten verurteilt.

Den Volltext der Entscheidung finden Sie hier:

§ 303b Computersabotage

(1) Wer eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, dadurch erheblich stört, dass er

1. eine Tat nach § 303a Abs. 1 begeht,
2. Daten (§ 202a Abs. 2) in der Absicht, einem anderen Nachteil zuzufügen, eingibt oder übermittelt oder
3. eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert,

wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

(2) Handelt es sich um eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, ist die Strafe Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe.

(3) Der Versuch ist strafbar.

(4) In besonders schweren Fällen des Absatzes 2 ist die Strafe Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. Ein besonders schwerer Fall liegt in der Regel vor, wenn der Täter

1. einen Vermögensverlust großen Ausmaßes herbeiführt,
2. gewerbsmäßig oder als Mitglied einer Bande handelt, die sich zur fortgesetzten Begehung von Computersabotage verbunden hat,
3. durch die Tat die Versorgung der Bevölkerung mit lebenswichtigen Gütern oder Dienstleistungen oder die Sicherheit der Bundesrepublik Deutschland beeinträchtigt.

(5) Für die Vorbereitung einer Straftat nach Absatz 1 gilt § 202c entsprechend.

LG Landshut: Unzulässige Online-Durchsuchung durch Screenshot-Trojaner - Online-Überwachung

LG Landshut
Beschluss vom 20.01.2011
4 Qs 346/10 LG Landshut
Online-Überwachung


Das LG Landshut hat entschieden, dass der Einsatz eines Trojaners durch die Ermittlungsbehörden nicht ohne Weiteres von einer richterlichen Anordnung gedeckt ist, welche die Überwachung und Aufzeichnung des Telekommunkationsverkehrs anordnet. Der Trojaner der Ermittlungsbehörden war derart programmiert, dass er alle 30 Sekunden einen Screenshot erstellte und an die Ermittlungsbehörden übermittelte.

Aus den Entscheidungsgründen:
"Jedoch war der Vollzug des Beschlusses vorn 02.04.2009 insoweit rechtswidrig als im zeitlichen Abstand von 30 Sekunden Screenshots von der Bildschirmoberfläche gefertigt wurden, während der Internet-Browser aktiv geschaltet war. Denn nach Auffassung der Kammer besteht für das Kopieren und Speichern der grafischen Bildschirminhalte, also der Fertigung von Screenshots, keine Rechtsgrundlage , weil zum Zeitpunkt dieser Maßnahmen noch kein Telekommunikationsvorgang stattfindet"

Vom Beschluss gedeckt war - so das LG Landshut - hingegen die Überwachung des SKYPE-Nutzung.